Acordul privind prelucrarea datelor (DPA)

Versiunea 1.0 · În vigoare de la: 2026-10-23

Aceasta este o traducere. Pentru clienții profesioniști prevalează versiunea în limba engleză. Pentru consumatorii cu reședința obișnuită într-o țară în care limba română este limbă oficială, prezenta versiune este egal autentică cu versiunea în limba engleză; dacă cele două versiuni diferă, se aplică înțelesul mai favorabil consumatorului. Pentru ceilalți consumatori prevalează versiunea în limba engleză, cu excepția cazului în care legislația obligatorie de protecție a consumatorilor din țara lor prevede altfel.

Prezentul Acord privind prelucrarea datelor („DPA”) face parte integrantă din contractul încheiat între Client și Prestator pentru serviciul Consentl pe care Clientul îl utilizează („Contractul”):

• pentru Consentl pentru Shopify (aplicația Shopify): Termenii și condițiile și Secțiunea specială 1;
• pentru Consentl pentru site-uri (panoul de control de la app.consentl.com, API-ul de la api.consentl.com și integrările cu platformele): Termenii și condițiile pentru site-uri și Secțiunea specială 2.

DPA se încheie în formă electronică în momentul în care Clientul îl acceptă în modul descris în Secțiunea specială aplicabilă. Prestatorul păstrează o evidență a acceptării (documentul, versiunea, data și ora, contul sau magazinul și persoana care a acceptat). Clientul care dorește un exemplar contrasemnat îl poate solicita la [email protected].

Părțile

• „Clientul”: entitatea sau persoana care utilizează un serviciu Consentl pentru magazinul său online ori pentru site-ul său și care acceptă prezentul DPA, identificată prin magazinul său Shopify (Secțiunea specială 1) sau prin contul său Consentl (Secțiunea specială 2).
• „Prestatorul”: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, jud. Cluj, România; nr. de ordine în Registrul Comerțului J2020001305120, cod unic de înregistrare (CUI) 42512332 (neînregistrată în scopuri de TVA; cod de TVA în scopuri intracomunitare RO46686340). Contact pentru prezentul DPA: [email protected].

1. Definiții și domeniu de aplicare

1.1 „Legislația privind protecția datelor” înseamnă actele normative aplicabile prelucrării efectuate în temeiul prezentului DPA, în special Regulamentul (UE) 2016/679 („GDPR”), Directiva 2002/58/CE, astfel cum a fost transpusă în dreptul intern, UK GDPR și Data Protection Act 2018 din Regatul Unit, Legea federală elvețiană privind protecția datelor („FADP”), Legea californiană privind protecția vieții private a consumatorilor (California Consumer Privacy Act), astfel cum a fost modificată prin CPRA („CCPA”), și celelalte legi ale statelor SUA privind protecția vieții private, PIPEDA din Canada și Legea privind protecția informațiilor personale în sectorul privat din Quebec („Legea 25 din Quebec”), precum și LGPD din Brazilia, fiecare cu modificările ulterioare, în măsura în care se aplică.

1.2 Termeni precum „operator”, „persoană împuternicită de operator”, „date cu caracter personal”, „prelucrare”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și „autoritate de supraveghere” au înțelesul prevăzut în GDPR. În cazul altor legi, aceștia includ termenii echivalenți (de exemplu, „întreprindere” (business), „furnizor de servicii” (service provider), „consumator” (consumer) și „informații cu caracter personal” (personal information) în temeiul CCPA; „operador” în temeiul LGPD).

1.3 „Datele cu caracter personal ale Clientului” înseamnă datele cu caracter personal pe care Prestatorul le prelucrează în numele Clientului în cadrul furnizării serviciului, astfel cum sunt descrise în Anexa I. Acestea nu includ datele pentru care Prestatorul are calitatea de operator (de exemplu, datele privind contul și personalul Clientului, datele de facturare, corespondența privind asistența și jurnalele de securitate). Aceste date sunt descrise în politicile de confidențialitate ale Prestatorului.

1.4 „Adresa pentru notificări” înseamnă adresa de e-mail la care Prestatorul trimite notificările prevăzute de prezentul DPA (clauza 15.4), astfel cum este stabilită în Secțiunea specială 1, clauza S1.6 (Shopify), sau în Secțiunea specială 2, clauza S2.5 (site-uri).

1.5 Ordinea de prioritate: în cazul unui conflict între prezentul DPA și Contract, prevalează prezentul DPA. În cazul unui conflict între prezentul DPA și clauzele contractuale standard sau alte clauze privind transferul încorporate în temeiul secțiunii 9, prevalează clauzele respective. O Secțiune specială prevalează asupra părții generale a prezentului DPA în privința serviciului la care se referă.

2. Rolurile părților

2.1 Clientul este operatorul Datelor cu caracter personal ale Clientului sau o persoană împuternicită de operator care acționează pentru un alt operator. Prestatorul este persoană împuternicită de operator sau subcontractant ulterior.

2.2 Clientul decide dacă utilizează fiecare funcție (bannerul de consimțământ și registrul consimțămintelor, formularul pentru cererile privind datele cu caracter personal, funcția de retragere, acțiunile opționale privind datele clienților, scanarea cookie-urilor) și modul în care o configurează. Configurația aleasă de Client constituie o instrucțiune (secțiunea 3).

2.3 Clientul care acționează în calitate de persoană împuternicită de operator. Atunci când Clientul prelucrează datele pentru un alt operator (de exemplu, o agenție care administrează site-uri sau magazine pentru clienții săi), Prestatorul este subcontractantul său ulterior. Clientul garantează că operatorul său a autorizat utilizarea Prestatorului și a subcontractanților ulteriori din Anexa III, transmite instrucțiunile operatorului și înaintează operatorului său notificările pe care le primește de la Prestator. Prestatorul se poate baza pe instrucțiunile date de Client ca și cum acestea ar proveni de la operator.

2.4 Platforma pe care Clientul își operează magazinul sau site-ul (de exemplu, Shopify, WordPress, Shopware, PrestaShop, Magento sau o platformă de creare a site-urilor) nu este subcontractant ulterior al Prestatorului. Platforma prelucrează datele în temeiul propriilor contracte încheiate cu Clientul.

3. Instrucțiuni (art. 28 alin. (3) lit. (a) din GDPR)

3.1 Prestatorul prelucrează Datele cu caracter personal ale Clientului numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile către țări terțe, cu excepția cazului în care dreptul Uniunii sau dreptul intern al unui stat membru care se aplică Prestatorului impune altfel. În acest caz, Prestatorul informează Clientul cu privire la această obligație juridică înainte de prelucrare, cu excepția cazului în care dreptul respectiv interzice o astfel de informare din motive importante legate de interesul public.

3.2 Instrucțiunile documentate ale Clientului sunt: prezentul DPA și Contractul; setările și acțiunile efectuate de Client în cadrul serviciului (de exemplu, planul și perioada de stocare care decurge din acesta, exporturile, ștergerile și acțiunile privind datele cu caracter personal efectuate cu un singur clic); precum și alte instrucțiuni scrise convenite de părți.

3.3 Prestatorul informează imediat Clientul dacă, în opinia sa, o instrucțiune încalcă Legislația privind protecția datelor. Prestatorul nu este obligat să efectueze o verificare juridică a instrucțiunilor.

3.4 Clientul răspunde de legalitatea instrucțiunilor sale, de existența unui temei juridic pentru prelucrare, de informarea persoanelor vizate (în special prin propria politică de confidențialitate și politică privind cookie-urile) și de configurarea serviciului în funcție de magazinul sau site-ul său, de instrumentele sale de urmărire și de legile care i se aplică.

3.5 Cereri din partea autorităților publice. Dacă o autoritate publică solicită Date cu caracter personal ale Clientului, Prestatorul o îndrumă către Client, informează Clientul fără întârziere, cu excepția cazului în care legea interzice acest lucru, contestă o cerere pe care o consideră ilegală atunci când are motive rezonabile în acest sens și divulgă numai ceea ce este obligat prin lege să divulge.

4. Confidențialitate (art. 28 alin. (3) lit. (b) din GDPR)

4.1 Prestatorul garantează că persoanele autorizate să prelucreze Datele cu caracter personal ale Clientului s-au angajat să respecte confidențialitatea sau au o obligație statutară adecvată de confidențialitate. Accesul este limitat la persoanele desemnate nominal care au nevoie de acesta pentru a opera, a asigura asistența pentru sau a securiza serviciul (Anexa II).

4.2 Personalul Prestatorului poate utiliza instrumente software, inclusiv asistenți de programare bazați pe inteligență artificială, pentru dezvoltarea și întreținerea serviciului. Aceste instrumente lucrează asupra codului sursă și a datelor de test. Ele nu au acces la Datele cu caracter personal ale Clientului, la bazele de date de producție sau la jurnalele de producție (Anexa II). Dacă Prestatorul decide vreodată altfel, furnizorul unui astfel de instrument devine subcontractant ulterior, iar secțiunea 6 se aplică înainte ca instrumentul să fie utilizat.

5. Securitate (art. 28 alin. (3) lit. (c) și art. 32 din GDPR)

5.1 Prestatorul pune în aplicare măsurile tehnice și organizatorice descrise în Anexa II. Acestea pot fi actualizate în funcție de evoluția tehnologică, cu condiția ca nivelul general de protecție să nu fie redus.

5.2 Clientul răspunde de securitatea propriilor conturi (contul Shopify, contul Consentl și membrii echipei, contul de administrare al platformei), de accesul propriului personal, de codul site-ului său și de setările pe care le alege.

6. Subcontractanți ulteriori (art. 28 alin. (2) și (4) și art. 28 alin. (3) lit. (d) din GDPR)

6.1 Autorizare generală. Clientul acordă Prestatorului o autorizare generală scrisă pentru recrutarea de subcontractanți ulteriori. Subcontractanții ulteriori existenți la data prezentului DPA sunt enumerați în Anexa III și în lista subcontractanților ulteriori, care precizează, pentru fiecare dintre aceștia, serviciul pentru care este utilizat.

6.2 Notificarea modificărilor. Prestatorul informează Clientul cu privire la orice intenție de adăugare sau de înlocuire a unui subcontractant ulterior ori cu privire la un nou scop sau o nouă locație a unui subcontractant ulterior existent, cu cel puțin 30 de zile înainte de modificare, prin e-mail trimis la Adresa pentru notificări și printr-o mențiune în registrul modificărilor din lista subcontractanților ulteriori.

6.3 Obiecții. Clientul poate formula obiecții în acest termen, pe motive rezonabile legate de protecția datelor, prin e-mail trimis la [email protected], cu indicarea motivelor. Prestatorul răspunde în termen de 14 zile și fie propune o alternativă rezonabilă (de exemplu, neutilizarea subcontractantului ulterior pentru Client), fie explică motivele pentru care nu poate face acest lucru. Dacă obiecția nu este soluționată în termen de 30 de zile de la formularea ei, Clientul poate denunța unilateral Contractul pentru serviciul afectat, cu efect înainte ca modificarea să i se aplice. Clientul ar trebui să își exporte mai întâi datele (secțiunea 11).

6.4 Rambursare. În cazul denunțării în temeiul clauzei 6.3, Prestatorul rambursează sumele plătite pentru partea neutilizată a perioadei de facturare în curs, astfel cum se prevede în Secțiunea specială aplicabilă.

6.5 Înlocuirea de urgență. Dacă un subcontractant ulterior trebuie înlocuit de urgență (incident de securitate, insolvență, încetarea contractului din inițiativa subcontractantului ulterior sau încălcarea obligațiilor de către acesta), Prestatorul poate efectua modificarea cu un termen de preaviz mai scurt. Prestatorul informează Clientul cât mai curând posibil. Clientul poate formula în continuare obiecții în temeiul clauzei 6.3; dacă denunță Contractul, rambursarea prevăzută la clauza 6.4 se calculează de la data modificării.

6.6 Transmiterea obligațiilor și răspunderea. Prestatorul impune fiecărui subcontractant ulterior, prin contract, obligații de protecție a datelor care sunt, în esență, aceleași cu cele prevăzute în prezentul DPA, în special furnizarea de garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate. Prestatorul rămâne pe deplin răspunzător față de Client pentru îndeplinirea obligațiilor subcontractanților săi ulteriori, sub rezerva secțiunii 14.

7. Asistență

7.1 Cererile persoanelor vizate (art. 28 alin. (3) lit. (e) din GDPR). Ținând seama de natura prelucrării, Prestatorul asistă Clientul prin măsuri tehnice și organizatorice adecvate pentru îndeplinirea obligației de a răspunde cererilor privind exercitarea drepturilor persoanei vizate prevăzute în capitolul III din GDPR, precum și a drepturilor echivalente prevăzute de alte legi. Serviciul pune la dispoziție:

• formularul pentru cererile privind datele cu caracter personal, cu verificarea adresei de e-mail, și un registru al cererilor, cu termenele aferente;
• exportul în format CSV al registrului consimțămintelor; (Secțiunea specială 1) exporturi CSV ale cererilor privind datele cu caracter personal și ale retragerilor; (Secțiunea specială 2) un export JSON al tuturor datelor din contul Clientului, inclusiv cererile privind datele cu caracter personal și retragerile aferente fiecărui site;
• registrul retragerilor;
• (Secțiunea specială 1, opțional) exportul și ștergerea datelor Shopify ale clientului magazinului.

Înregistrările consimțământului sunt pseudonimizate: o înregistrare poate fi identificată după ID-ul de consimțământ, pe care persoana vizată îl poate citi din cookie-ul consentl din browserul său, folosind filtrele registrului consimțămintelor și exportul CSV. Pe baza instrucțiunii scrise a Clientului, Prestatorul șterge înregistrări individuale ale consimțământului sau alte înregistrări individuale în termen de 30 de zile, până când serviciul va oferi această posibilitate sub forma unei funcții. Dacă Prestatorul primește o cerere direct de la o persoană vizată, acesta transmite cererea Clientului fără întârzieri nejustificate și nu îi răspunde el însuși decât dacă Clientul îi dă instrucțiuni în acest sens.

7.2 Alte obligații (art. 28 alin. (3) lit. (f) din GDPR). Ținând seama de natura prelucrării și de informațiile aflate la dispoziția sa, Prestatorul asistă Clientul în asigurarea respectării obligațiilor prevăzute la art. 32–36 din GDPR (securitatea prelucrării, notificarea încălcărilor securității datelor și informarea persoanelor vizate, evaluarea impactului asupra protecției datelor, consultarea prealabilă), precum și a obligațiilor echivalente prevăzute de altă Legislație privind protecția datelor (de exemplu, evaluările impactului asupra vieții private impuse de Legea 25 din Quebec înainte de comunicarea datelor în afara provinciei Quebec), în special prin furnizarea informațiilor din Anexele I–III.

7.3 Asistența care depășește cadrul funcțiilor serviciului și al unui suport rezonabil prin e-mail poate fi facturată la un cost rezonabil, dacă este substanțială și nu este cauzată de încălcarea obligațiilor Prestatorului.

8. Încălcări ale securității datelor cu caracter personal (art. 33 alin. (2) din GDPR)

8.1 Prestatorul notifică Clientul fără întârzieri nejustificate și, atunci când este posibil, în termen de 48 de ore după ce a luat cunoștință de o încălcare a securității datelor cu caracter personal care afectează Datele cu caracter personal ale Clientului, inclusiv de o încălcare survenită la un subcontractant ulterior și notificată Prestatorului de către acesta. Prestatorul transmite, în același termen, informațiile pe care le primește de la un subcontractant ulterior. Notificarea se trimite prin e-mail la Adresa pentru notificări.

8.2 Notificarea cuprinde, în măsura în care sunt disponibile (și, dacă este necesar, în etape): caracterul încălcării, inclusiv categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor în cauză; punctul de contact de unde se pot obține mai multe informații; consecințele probabile; și măsurile luate sau propuse, inclusiv măsurile pentru atenuarea eventualelor efecte negative (art. 33 alin. (3) din GDPR).

8.3 Prestatorul ia măsuri rezonabile pentru limitarea și remedierea încălcării, ține o evidență a încălcărilor și cooperează la notificarea autorităților de supraveghere de către Client și, atunci când este necesar, la informarea persoanelor vizate de către acesta (art. 34 din GDPR).

8.4 În cazul informațiilor cu caracter personal supuse legislației din Quebec, Prestatorul notifică, de asemenea, Clientul, fără întârziere, cu privire la orice tentativă de încălcare a confidențialității acestor informații de care ia cunoștință.

8.5 Notificarea nu constituie o recunoaștere a culpei. Notificările pe care Prestatorul trebuie să le transmită unei platforme în temeiul propriilor condiții ale acesteia (Secțiunea specială 1) nu întârzie notificarea către Client.

9. Transferuri internaționale

9.1 Prestatorul stochează Datele cu caracter personal ale Clientului în Uniunea Europeană (DigitalOcean, Frankfurt, Germania). Unii subcontractanți ulteriori sunt stabiliți în afara SEE sau pot accesa datele de acolo (Anexa III).

9.2 Transferurile către subcontractanții ulteriori. Transferurile către subcontractanți ulteriori din afara SEE, a Elveției și a Regatului Unit care nu fac obiectul unei decizii privind caracterul adecvat (inclusiv Cadrul UE-SUA privind protecția datelor (Data Privacy Framework), pentru destinatarii certificați) se efectuează în temeiul clauzelor contractuale standard ale UE (Decizia de punere în aplicare (UE) 2021/914 a Comisiei), Modulul trei (transfer de la persoana împuternicită de operator la persoana împuternicită de operator), încheiate de Prestator cu subcontractanții săi ulteriori direcți și de fiecare subcontractant ulterior cu proprii săi subcontractanți ulteriori.

9.3 Clienții din țări terțe (Modulul patru). În măsura în care divulgarea de către Prestator a Datelor cu caracter personal ale Clientului către un Client stabilit într-o țară terță care nu beneficiază de o decizie privind caracterul adecvat (de exemplu, printr-un export, printr-o notificare prin e-mail sau prin afișarea datelor în panoul de control) constituie un transfer în sensul capitolului V din GDPR, părțile încorporează prin trimitere Modulul patru (transfer de la persoana împuternicită de operator la operator) al clauzelor contractuale standard, cu următoarele opțiuni: clauza 7 (clauza de aderare) se include; formularea opțională din clauza 11 nu se utilizează; clauza 17: dreptul României; clauza 18: instanțele din Cluj-Napoca, România. Anexele I–III la prezentul DPA completează anexele la clauzele contractuale standard. Atunci când Clientul este persoană împuternicită de operator (clauza 2.3), se aplică în schimb Modulul trei, cu aceleași opțiuni. Dacă Comisia Europeană adoptă clauze contractuale standard pentru importatorii a căror prelucrare intră sub incidența GDPR în temeiul art. 3 alin. (2) din acesta, clauzele respective se aplică în schimb acestor Clienți.

9.4 Regatul Unit. În măsura în care un transfer, de către Prestator, de date cu caracter personal supuse UK GDPR constituie un transfer restricționat (restricted transfer) care nu este acoperit de reglementările Regatului Unit privind caracterul adecvat, clauzelor încorporate în temeiul clauzei 9.3 li se aplică Actul adițional privind transferul internațional de date la clauzele contractuale standard ale UE (International Data Transfer Addendum to the EU Standard Contractual Clauses), versiunea B1.0, emis de Comisarul pentru informații din Regatul Unit (Information Commissioner) („Actul adițional al Regatului Unit (UK Addendum)”), cu Tabelul 1 completat cu datele părților indicate mai sus, Tabelul 2 cu modulul și opțiunile selectate la clauza 9.3 și Tabelul 3 cu Anexele I–III, iar Tabelul 4 permite oricăreia dintre părți să pună capăt Actului adițional al Regatului Unit în condițiile prevăzute de acesta.

9.5 Elveția. Pentru transferurile supuse FADP, clauzele contractuale standard se aplică cu următoarele adaptări: trimiterile la GDPR se interpretează ca trimiteri la FADP; Comisarul federal elvețian pentru protecția datelor și transparență (Federal Data Protection and Information Commissioner) este autoritate de supraveghere competentă; iar termenul „stat membru” include Elveția, astfel încât persoanele vizate să poată introduce acțiuni în justiție la locul reședinței lor obișnuite.

9.6 Brazilia. Atunci când LGPD se aplică unui transfer de date cu caracter personal de la Client către Prestator și transferul nu este acoperit de o decizie privind caracterul adecvat a autorității braziliene (ANPD), se încorporează clauzele contractuale standard aprobate prin Rezoluția CD/ANPD nr. 19/2024 a ANPD, Clientul având calitatea de exportator (operator), iar Prestatorul calitatea de importator („operador” în sensul LGPD).

9.7 Clientul poate solicita, la [email protected], o copie a garanțiilor pe care se întemeiază transferurile.

10. Legile statelor SUA privind protecția vieții private (clauze privind furnizorul de servicii în temeiul CCPA/CPRA)

10.1 În cazul informațiilor cu caracter personal supuse CCPA, Clientul este „întreprindere”, iar Prestatorul este „furnizor de servicii” (Cal. Civ. Code §1798.140(ag)). Clientul divulgă informații cu caracter personal Prestatorului numai în următoarele scopuri operaționale (business purposes) limitate și specificate: înregistrarea și dovedirea consimțământului consumatorilor și a opțiunilor lor de renunțare (opt-out) (inclusiv a semnalelor de preferință privind renunțarea, precum semnalul Global Privacy Control); primirea, verificarea, urmărirea și documentarea cererilor consumatorilor privind datele cu caracter personal și a cererilor de retragere; trimiterea e-mailurilor tranzacționale aferente; scanarea magazinului sau a site-ului Clientului pentru identificarea cookie-urilor și a instrumentelor de urmărire; precum și securitatea, integritatea și depanarea serviciului (§1798.140(e)(2), (e)(3) și (e)(5)).

10.2 Prestatorul nu are dreptul (§1798.100(d); 11 CCR §7051(a)):

• să vândă (sell) sau să partajeze (share) informațiile cu caracter personal;
• să le păstreze, să le utilizeze sau să le divulge în orice alt scop (inclusiv în orice scop comercial (commercial purpose)) decât scopurile operaționale specificate la clauza 10.1, cu excepția cazului în care CCPA și regulamentele de aplicare a acesteia permit altfel;
• să le păstreze, să le utilizeze sau să le divulge în afara relației comerciale directe cu Clientul;
• să le combine cu informații cu caracter personal primite de la o altă persoană sau în numele acesteia ori colectate în cadrul propriei interacțiuni a Prestatorului cu consumatorul, cu excepția cazurilor permise de regulamentele de aplicare a CCPA (11 CCR §7050).

10.3 Prestatorul respectă obligațiile care îi revin în temeiul CCPA și al regulamentelor de aplicare a acesteia, asigură același nivel de protecție a vieții private ca cel impus întreprinderilor de CCPA și pune în aplicare proceduri și practici de securitate rezonabile (Cal. Civ. Code §1798.81.5). Prestatorul notifică Clientul fără întârzieri nejustificate și, în orice caz, în termen de cinci zile lucrătoare, dacă stabilește că nu mai poate îndeplini aceste obligații.

10.4 Clientul poate lua măsuri rezonabile și adecvate pentru a se asigura că Prestatorul utilizează informațiile cu caracter personal în mod compatibil cu obligațiile Clientului în temeiul CCPA, inclusiv prin exercitarea drepturilor de informare și de audit prevăzute în secțiunea 12 (un audit în fiecare perioadă de 12 luni și audituri suplimentare în cazurile prevăzute la clauza 12.2), precum și, în urma unei notificări, pentru a opri și a remedia utilizarea neautorizată a informațiilor cu caracter personal, inclusiv solicitându-i Prestatorului să confirme ștergerea.

10.5 Clientul informează Prestatorul cu privire la orice cerere a unui consumator formulată în temeiul CCPA pe care Prestatorul trebuie să o respecte și îi furnizează Prestatorului informațiile necesare în acest scop. Prestatorul asistă Clientul în a răspunde cererilor verificabile ale consumatorilor (clauza 7.1).

10.6 Prestatorul pune la dispoziția Clientului informațiile de care acesta are în mod rezonabil nevoie pentru evaluările riscurilor și auditurile de securitate cibernetică prevăzute de regulamentele de aplicare a CCPA și cooperează la realizarea acestora.

10.7 Prestatorul recrutează orice subcontractant (subcontractor) care prelucrează informațiile cu caracter personal numai în temeiul unui contract scris care conține aceleași restricții (secțiunea 6) și certifică faptul că înțelege restricțiile din prezenta secțiune 10 și că le va respecta.

10.8 În ceea ce privește celelalte legi ale statelor SUA privind protecția vieții private (de exemplu, cele din Virginia, Colorado, Connecticut, Utah, Texas, Oregon și din celelalte state acoperite de presetările regionale ale serviciului), Prestatorul are calitatea de „persoană împuternicită de operator” (processor). Secțiunile 3–8, 11 și 12 cuprind clauzele privind persoana împuternicită de operator impuse de aceste legi: instrucțiuni, confidențialitate, ștergere sau returnare, informare, cooperare la evaluări, audituri (sau, atunci când legea permite, un raport de audit independent) și transmiterea obligațiilor către subcontractanți, cu posibilitatea de a formula obiecții (secțiunea 6).

10.9 Prestatorul nu vinde și nu partajează informații cu caracter personal și nu utilizează informații cu caracter personal sensibile în niciun scop.

11. Ștergere sau returnare (art. 28 alin. (3) lit. (g) din GDPR)

11.1 Returnarea. Funcțiile de export ale serviciului (exporturile CSV enumerate în Secțiunile speciale) sunt mijloacele prin care Clientul își obține datele. Clientul optează pentru returnare prin exportarea datelor înainte ca acestea să fie șterse.

11.2 Stocarea pe durata Contractului. Datele cu caracter personal ale Clientului sunt păstrate și șterse conform Anexei I. Dovada consimțământului se păstrează cel puțin atât timp cât este utilizat consimțământul pe care îl atestă (durata de valabilitate a consimțământului + 30 de zile); în cazul unei schimbări de plan care scurtează perioada de stocare, perioada anterioară se menține timp de 30 de zile. Cererile privind datele cu caracter personal și retragerile închise se păstrează, în mod implicit, timp de 2 ani, pentru ca Clientul să își poată îndeplini obligațiile de păstrare a evidențelor (de exemplu, 11 CCR §7101), și se șterg automat la 3 ani de la închidere. Clientul poate dispune ștergerea mai devreme: în cadrul serviciului, acolo unde există o funcție de ștergere, iar în caz contrar prin instrucțiune scrisă, pe care Prestatorul o execută în termen de 30 de zile.

11.3 După încetarea Contractului, Prestatorul șterge toate Datele cu caracter personal ale Clientului conform Secțiunii speciale aplicabile. Copiile datelor existente în copiile de rezervă (backup) criptate ale bazei de date sunt suprascrise în cadrul perioadei de păstrare a copiilor de rezervă ale bazei de date administrate (copii de rezervă zilnice și restaurare la un anumit moment (point-in-time recovery), păstrate timp de 7 zile) și nu sunt restaurate decât în scopul recuperării în caz de dezastru; dacă se restaurează o copie de rezervă, ștergerile efectuate după realizarea acesteia se aplică din nou. Prestatorul nu stochează și nu exportă jurnale ale solicitărilor: jurnalele aplicației există numai ca ieșire de execuție (runtime output) a aplicației în funcțiune la DigitalOcean, care se șterge la implementarea unei noi versiuni (acestea nu conțin adrese IP ale vizitatorilor și nici conținutul solicitărilor, Anexa II). Datele privind solicitările din rețeaua edge (edge network) a furnizorului de găzduire și jurnalele de e-mailuri tranzacționale ale Brevo sunt șterse în cadrul perioadelor de stocare ale acestor subcontractanți ulteriori și nu sunt utilizate în niciun alt scop. De confirmat: DigitalOcean urmează să confirme perioada de stocare a datelor în rețeaua sa edge.

11.4 Ștergerea nu se aplică atunci când dreptul Uniunii sau dreptul intern al unui stat membru impune Prestatorului stocarea datelor; în acest caz, Prestatorul le protejează și le prelucrează numai în acest scop.

11.5 Schimbarea furnizorului (Regulamentul (UE) 2023/2854, Regulamentul privind datele). Atunci când se aplică Regulamentul privind datele, Clientul poate trece la un alt furnizor sau la propriile sisteme, conform Contractului: datele exportabile sunt registrul consimțămintelor, cererile privind datele cu caracter personal, retragerile, declarația privind cookie-urile și setările bannerului; Clientul beneficiază de o perioadă de recuperare a datelor de cel puțin 30 de zile; Prestatorul nu percepe tarife pentru schimbarea furnizorului și șterge datele după expirarea perioadei de recuperare.

11.6 La cerere, Prestatorul confirmă în scris ștergerea.

12. Informații și audituri (art. 28 alin. (3) lit. (h) din GDPR)

12.1 Prestatorul pune la dispoziția Clientului toate informațiile necesare pentru a demonstra respectarea art. 28 din GDPR, în special prezentul DPA și anexele sale, precum și, la cerere, certificările sau rapoartele de securitate ale principalilor săi subcontractanți ulteriori (de exemplu, raportul SOC 2 Type II și certificatul ISO/IEC 27001 ale DigitalOcean), în cazul în care condițiile acestora permit comunicarea lor.

12.2 Prestatorul permite desfășurarea auditurilor, inclusiv a inspecțiilor, efectuate de Client sau de un auditor mandatat de acesta și contribuie la acestea, în următoarele condiții:

• un preaviz scris de cel puțin 30 de zile;
• cel mult un audit în orice perioadă de 12 luni, cu excepția cazului în care auditul este impus de o autoritate de supraveghere, are loc după o încălcare a securității datelor cu caracter personal sau Clientul are indicii rezonabile de nerespectare a prezentului DPA;
• mai întâi un audit pe bază de chestionar scris și documente; o inspecție la fața locului sau la distanță numai dacă răspunsurile nu sunt suficiente;
• în timpul programului de lucru, fără acces la datele altor clienți sau la secretele comerciale ale Prestatorului dincolo de ceea ce este necesar;
• auditorul este ținut de o obligație de confidențialitate și nu este un concurent al Prestatorului;
• fiecare parte își suportă propriile costuri, cu excepția cazului în care auditul relevă o încălcare semnificativă a obligațiilor de către Prestator.

13. Obligațiile Clientului

Clientul:

• utilizează serviciul în conformitate cu Legislația privind protecția datelor și dă numai instrucțiuni legale;
• informează persoanele vizate cu privire la prelucrare, inclusiv cu privire la utilizarea Consentl, prin propria politică de confidențialitate și politică privind cookie-urile, folosind informațiile din Anexa I;
• configurează corect serviciul (regiuni, categorii, blocarea instrumentelor de urmărire, texte) și verifică rezultatul; Prestatorul nu garantează că o anumită configurație asigură conformitatea magazinului sau a site-ului (a se vedea Contractul);
• nu solicită persoanelor vizate să transmită prin intermediul formularelor categorii speciale de date (art. 9 din GDPR);
• răspunde cererilor privind datele cu caracter personal și cererilor de retragere în termenele legale;
• pune la dispoziția Prestatorului date de acces (Secțiunea specială 2: datele de autentificare HTTP basic-auth pentru scanări) numai pentru site-urile pe care are dreptul să le supună scanării;
• își menține actualizată Adresa pentru notificări.

14. Răspundere

14.1 Răspunderea totală a fiecărei părți care decurge din prezentul DPA sau în legătură cu acesta este limitată la cea mai mare dintre următoarele valori: (a) de trei ori sumele plătite de Client pentru serviciul afectat în cele 12 luni anterioare primului eveniment care a generat răspunderea și (b) EUR 5.000.

14.2 Limita prevăzută la clauza 14.1 nu se aplică: răspunderii pentru prejudiciile cauzate cu intenție sau din culpă gravă; răspunderii față de persoanele vizate în temeiul art. 82 din GDPR și al clauzei 12 din clauzele contractuale standard (care nu poate fi limitată); și răspunderii care nu poate fi limitată potrivit legii. Atunci când Clientul este consumator, clauza 14.1 se aplică numai în măsura permisă de legislația obligatorie de protecție a consumatorilor care i se aplică.

14.3 În cazul pretențiilor formulate în temeiul prezentului DPA, limita prevăzută la clauza 14.1 înlocuiește limitarea răspunderii din Contract. Atunci când ambele părți răspund față de o persoană vizată pentru același prejudiciu, fiecare parte are dreptul de a pretinde celeilalte restituirea acelei părți din despăgubire care corespunde părții de răspundere a celeilalte părți (art. 82 alin. (5) din GDPR), în limita prevăzută la clauza 14.1.

14.4 Amenzile aplicate unei părți de o autoritate de supraveghere sunt suportate de partea respectivă, cu excepția cazului și în măsura în care acestea rezultă din încălcarea prezentului DPA de către cealaltă parte, caz în care pot fi pretinse în limita prevăzută la clauza 14.1.

15. Durată, modificări, notificări și legea aplicabilă

15.1 Prezentul DPA se aplică atât timp cât Prestatorul prelucrează Date cu caracter personal ale Clientului și încetează automat după aceea. Secțiunile 8, 11, 14 și 15 rămân în vigoare după încetarea prezentului DPA.

15.2 Modificări. Prestatorul poate actualiza prezentul DPA pentru a reflecta modificări ale legislației, ale serviciului sau ale subcontractanților ulteriori. Pentru modificările care reduc protecția Clientului, Prestatorul transmite o notificare prin e-mail la Adresa pentru notificări, cu un preaviz de cel puțin 30 de zile; în acest caz, Clientul poate formula obiecții și poate denunța Contractul conform clauzelor 6.3 și 6.4. Modificările impuse de lege sau care doar îmbunătățesc protecția Clientului se pot aplica mai devreme. Atunci când o modificare privește o clauză acceptată în mod expres de Client (clauza 15.6), Prestatorul solicită o nouă acceptare expresă; până la obținerea acesteia, se aplică versiunea anterioară a clauzei respective. Versiunile anterioare ale prezentului DPA rămân disponibile la cerere.

15.3 Mijloace de probă. Înregistrările electronice ale acceptărilor, notificărilor și instrucțiunilor păstrate de Prestator fac dovada, între părți, a conținutului și a datei acestora (Legea nr. 214/2024 privind utilizarea semnăturii electronice).

15.4 Notificări. Prestatorul transmite notificările prevăzute de prezentul DPA (modificări privind subcontractanții ulteriori, încălcări ale securității datelor, modificări ale DPA) prin e-mail la Adresa pentru notificări definită în Secțiunea specială aplicabilă. Clientul o menține actualizată. Clientul transmite notificările la [email protected].

15.5 Legea aplicabilă și instanțele competente. Prezentul DPA este guvernat de legea română. Instanțele competente din Cluj-Napoca, România, au competență exclusivă, cu excepția cazului în care clauzele contractuale standard sau legislația obligatorie (inclusiv normele de protecție a consumatorilor) prevăd altfel.

15.6 Acceptarea expresă (art. 1203 din Codul civil). Clientul acceptă în mod expres următoarele clauze ale prezentului DPA: 6.3–6.5 (mecanismele de formulare a obiecțiilor, de denunțare unilaterală și de rambursare), 14 (limitarea răspunderii), 15.2 (modificări) și 15.5 (legea aplicabilă și competența exclusivă a instanțelor). Clienții profesioniști le acceptă prin bifarea unei căsuțe separate atunci când acceptă Contractul.

Secțiunea specială 1 — Consentl pentru Shopify

S1.1 Serviciul și Contractul. Serviciul este aplicația Consentl pentru Shopify („Aplicația”). Clientul este comerciantul care o instalează în magazinul său Shopify. Contractul îl reprezintă Termenii și condițiile.

S1.2 Încheierea. DPA se acceptă în etapa de acceptare din Aplicație (la configurarea inițială și din nou pentru o versiune nouă care necesită acest lucru), împreună cu Termenii.

S1.3 Shopify. Shopify nu este subcontractant ulterior al Prestatorului. La instrucțiunea Clientului, Prestatorul divulgă date către Shopify, în calitate de platformă proprie a Clientului: adresa de e-mail a unui cumpărător care renunță (opt-out) la vânzarea sau partajarea datelor sale ori care transmite un semnal Global Privacy Control în timp ce este autentificat, pentru ca Shopify să înregistreze opțiunea de renunțare în fișa clientului (dataSaleOptOut); cererile de ștergere transmise prin acțiunile opționale cu un singur clic; și configurația publicată a bannerului, stocată sub formă de metacâmpuri (metafields) ale magazinului.

S1.4 Webhook-urile de conformitate Shopify. Aplicația prelucrează notificările obligatorii Shopify customers/data_request, customers/redact și shop/redact conform descrierii din Anexa I-A.

S1.5 Permisiuni opționale. Permisiunile de acces (scopes) read_customers, write_customers și read_orders sunt solicitate numai atunci când Clientul activează acțiunile de confidențialitate cu un singur clic sau asocierea cererilor de retragere cu comenzile și sunt acordate în mod explicit de Client.

S1.6 Adresa pentru notificări. Adresa de contact pentru confidențialitate și securitate pe care Clientul o desemnează în setările Aplicației. Până la desemnarea acesteia, adresa de e-mail a contului proprietarului magazinului Shopify, astfel cum este comunicată de Shopify, iar dacă Shopify nu comunică nicio adresă, adresa de e-mail de contact a magazinului.

S1.7 Rambursări. Rambursările prevăzute la clauza 6.4 se efectuează prin Shopify, sub forma unei rambursări sau a unui credit în aplicație, la alegerea Prestatorului.

S1.8 Încetarea Contractului și ștergerea datelor. La dezinstalarea Aplicației, Prestatorul șterge imediat tokenul de acces, iar toate celelalte Date cu caracter personal ale Clientului le șterge atunci când Shopify trimite notificarea shop/redact (la 48 de ore după dezinstalare) și, în orice caz, în cel mult 30 de zile de la dezinstalare. Înainte de dezinstalare, Clientul poate trece la planul Free și poate păstra Aplicația instalată atât timp cât are nevoie pentru a-și exporta datele (aceasta este și perioada de recuperare a datelor în caz de schimbare a furnizorului, prevăzută la clauza 11.5); exporturile sunt disponibile în toate planurile. La dezinstalarea Aplicației, Prestatorul îi trimite Clientului prin e-mail o avertizare care indică numărul înregistrărilor.

S1.9 Notificări către platformă. În cazul în care termenii Shopify îi impun Prestatorului să informeze Shopify cu privire la un incident de securitate care afectează datele comercianților sau ale clienților, Prestatorul procedează astfel, în plus față de obligațiile prevăzute la secțiunea 8.

S1.10 Anexe. Anexa I-A descrie prelucrarea efectuată în Aplicație.

Secțiunea specială 2 — Consentl pentru site-uri și integrările cu platforme

S2.1 Serviciul și Contractul. Serviciul este Consentl pentru site-uri: panoul de control de la app.consentl.com, API-ul public de la api.consentl.com (încărcătorul — loader —, bannerul, semnalele de consimțământ, formularele pentru cereri privind datele cu caracter personal și pentru retragere, declarația privind cookie-urile și paginile de accesibilitate găzduite) și scanerul de cookie-uri („Serviciul”), utilizate direct sau prin integrările publicate de Prestator (fragmentul de cod pentru site-uri, șablonul Google Tag Manager, pluginurile pentru WordPress/WooCommerce, Shopware, PrestaShop și Magento, precum și ghidurile pentru alte platforme de creare a site-urilor). Contractul îl reprezintă Termenii și condițiile pentru site-uri.

S2.2 Încheierea. Clienții profesioniști acceptă DPA prin bifarea unei căsuțe la crearea contului și din nou pentru o versiune nouă care necesită acest lucru; unui cont care nu a acceptat versiunea în vigoare i se solicită să o accepte înainte de a putea continua să utilizeze panoul de control. Pentru clienții care utilizează Serviciul în calitate de consumatori, DPA face parte din Termenii și condițiile pentru site-uri pe care aceștia le acceptă la crearea contului.

S2.3 Integrări. Integrările rulează pe serverul sau pe platforma proprie a Clientului. Acestea nu stochează acolo date cu caracter personal ale vizitatorilor. Apelurile pe care le efectuează de pe server către api.consentl.com (verificarea cheii site-ului, preluarea încărcătorului pentru a putea fi inserat în pagină) transmit numai cheia site-ului, limba și numele de gazdă al site-ului. Datele cu caracter personal ale Clientului sunt prelucrate de Prestator numai atunci când browserele vizitatorilor apelează api.consentl.com. Prestatorul nu are calitatea de persoană împuternicită de operator pentru platforma sau pentru sistemul de magazin online al Clientului.

S2.4 Fluxuri de date. Anexa I-B enumeră datele: înregistrările consimțământului (inclusiv înregistrările transmise fără o origine de browser verificabilă, care sunt acceptate cu limite mai stricte), contoarele bannerului, cererile privind datele cu caracter personal și cererile de retragere transmise prin formulare, e-mailurile către vizitatori, scanările de cookie-uri ale site-urilor Clientului și, în planul Enterprise, datele de autentificare HTTP basic-auth pe care Clientul le furnizează pentru scanarea site-urilor protejate.

S2.5 Adresa pentru notificări. Adresa pentru notificări pe care Clientul o setează în pagina Cont, după confirmarea acesteia (prin linkul de confirmare sau pentru că este adresa verificată a unui membru al contului). Până la confirmarea unei adrese, adresele de e-mail verificate ale proprietarilor și administratorilor contului.

S2.6 Rambursări. Rambursările prevăzute la clauza 6.4 se efectuează prin Stripe, pe metoda de plată inițială, proporțional cu partea neutilizată a perioadei plătite.

S2.7 Încetarea Contractului și ștergerea datelor.

• Clientul poate exporta oricând și în orice plan registrul consimțămintelor unui site, în format CSV, și toate datele contului său („Descărcați datele dumneavoastră (JSON)”), în format JSON, inclusiv setările, lista de cookie-uri, cererile privind datele cu caracter personal, cererile de retragere și registrul consimțămintelor fiecărui site.
• Ștergerea unui site îi șterge imediat datele (în cascadă); panoul de control solicită confirmarea și recomandă efectuarea prealabilă a unui export. Ștergerea unui site reprezintă instrucțiunea Clientului de a șterge datele site-ului respectiv.
• La încetarea unui abonament plătit, site-ul trece la planul Free, iar datele sale rămân disponibile pentru export (aceasta este și perioada de recuperare a datelor în caz de schimbare a furnizorului, prevăzută la clauza 11.5).
• Ștergerea contului: proprietarul contului șterge contul din panoul de control (după anularea abonamentelor plătite) sau solicită ștergerea la [email protected]. Contul rămâne disponibil timp de 30 de zile (perioada de recuperare: export sau anularea ștergerii; bannerele continuă să funcționeze), după care contul, site-urile sale și toate Datele cu caracter personal ale Clientului aferente acestor site-uri sunt șterse.
• Copiile de rezervă și jurnalele subcontractanților ulteriori: clauza 11.3.

S2.8 Ștergerea automată. Serviciul șterge automat: înregistrările consimțământului, după expirarea perioadei de stocare a site-ului (Anexa I-B); cererile privind datele cu caracter personal a căror adresă de e-mail nu a fost confirmată niciodată, la 30 de zile de la transmitere; orice altă cerere privind datele cu caracter personal și orice cerere de retragere, la 3 ani de la ultima modificare, indiferent de starea acesteia; contoarele zilnice și contoarele A/B, după 2 ani; rezultatele scanărilor, altele decât cea mai recentă scanare a unui site, la 400 de zile de la scanare. Ștergerea anticipată, la instrucțiunea Clientului: clauza 11.2.

S2.9 Anexe. Anexa I-B descrie prelucrarea efectuată în cadrul Serviciului.

Anexa I — Descrierea prelucrării

A. Lista părților

Autoritatea de supraveghere competentă: autoritatea competentă pentru Client (exportatorul de date) potrivit clauzei 13 din clauzele contractuale standard; pentru Prestator: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal — ANSPDCP (www.dataprotection.ro (site extern)).

Comun ambelor servicii

• Categorii de persoane vizate: vizitatorii magazinului sau ai site-ului Clientului (înregistrări ale consimțământului, afișări ale bannerului); persoanele care transmit o cerere privind datele cu caracter personal sau o cerere de retragere prin intermediul magazinului ori al site-ului; (Shopify, opțional) clienții magazinului ale căror profiluri Shopify și comenzi sunt citite sau șterse prin acțiunile de confidențialitate cu un singur clic.
• Categorii speciale de date cu caracter personal: nu se intenționează prelucrarea acestora. Clientul nu trebuie să le solicite. Câmpurile de text liber le-ar putea conține, dacă un solicitant le introduce; acestea sunt protejate la fel ca toate celelalte date.
• Natura prelucrării: colectarea prin scriptul și formularele din magazin sau de pe site, stocarea, extragerea și afișarea către Client, exportul, transmiterea prin e-mail, ștergerea automată.
• Scopurile prelucrării: scopurile operaționale (business purposes) prevăzute la clauza 10.1.
• Frecvența: continuă, pe durata Contractului.
• Subcontractanți ulteriori: Anexa III.

B. Consentl pentru Shopify (Anexa I-A)

Categorii de date cu caracter personal

Perioada de stocare

C. Consentl pentru site-uri (Anexa I-B)

Categorii de date cu caracter personal

Perioada de stocare

Anexa II — Măsuri tehnice și organizatorice

Măsurile în vigoare la data prezentului DPA, aplicabile ambelor servicii, cu excepția cazului în care este indicat un anumit produs. Elementele descrise ca planificate nu sunt încă implementate. Unele măsuri fac trimitere la politica internă de securitate și de gestionare a incidentelor a Prestatorului, la registrul accesului la mediul de producție și la evidențele activităților de prelucrare; aceste documente sunt interne, iar Clientul poate primi, la cerere, o copie a acestora, conform clauzei 12.1.

Pseudonimizare și minimizare

• Adresele IP sunt scurtate la preluare, la IPv4 /24 sau IPv6 /48, înainte de stocare; adresa IP completă nu este scrisă niciodată în baza de date sau în jurnalele aplicației (este păstrată numai în memorie, Anexa I).
• Înregistrările consimțământului utilizează un identificator aleatoriu generat în browser și nu sunt asociate conturilor clienților; URL-urile paginilor sunt reduse la cale; șirurile agentului utilizator sunt trunchiate la 400 de caractere.
• Afișările bannerului sunt stocate numai sub formă de contoare zilnice; scriptul de pe site nu trimite nimic înainte de o decizie, iar o afișare este contorizată împreună cu prima decizie a vizitatorului (fără o solicitare separată pentru afișare).
• Shopify: fișele clienților și ale comenzilor sunt citite din Shopify la cerere și nu sunt copiate, cu excepția identificatorilor necesari pentru a asocia o cerere sau o cerere de retragere clientului ori comenzii. Permisiunile de acces opționale Shopify pentru datele clienților sunt solicitate numai atunci când Clientul activează funcțiile care le necesită.

Criptare

• Întregul trafic este servit prin HTTPS (TLS). Webhook-urile și apelurile API Shopify, precum și apelurile API Stripe și Brevo utilizează TLS.
• Bazele de date PostgreSQL administrate și copiile lor de rezervă sunt criptate în repaus (at rest) de DigitalOcean.
• Parolele magazinelor Shopify (storefront passwords) și datele de autentificare pentru scanarea site-urilor sunt criptate cu AES-256-GCM; cheile sunt păstrate numai în variabilele de mediu criptate ale platformei de găzduire.
• Tokenurile de verificare a adresei de e-mail și tokenurile panoului de control sunt stocate numai sub formă de hash-uri SHA-256; tokenurile de unică folosință sunt eliminate sau marcate ca utilizate după folosire.

Confidențialitate și controlul accesului

• Shopify: accesul la interfața de administrare necesită un token de sesiune Shopify, verificat la fiecare solicitare (App Bridge, token exchange); datele sunt întotdeauna limitate la magazinul autentificat. Webhook-urile sunt acceptate numai cu o semnătură HMAC validă.
• Site-uri: parolele sunt stocate sub formă de hash scrypt; tokenurile de sesiune sunt stocate sub formă de hash-uri SHA-256, cu o durată de valabilitate de 30 de zile și expirare după 7 zile de inactivitate; protecție CSRF pentru fiecare formular din panoul de control; acțiunile sensibile necesită o confirmare recentă a parolei; panoul de control și API-ul public se află pe gazde separate; fiecare pagină aferentă unui site verifică calitatea de membru a utilizatorului; semnătura webhook-urilor Stripe este verificată.
• Endpointurile publice acceptă numai o cheie publică validă și o gazdă sau un domeniu de magazin corespunzător; semnalele de consimțământ (consent beacons) sunt validate în raport cu o schemă, limitate ca dimensiune (4 KB) și limitate ca frecvență per adresă IP și per magazin sau site (limitele se aplică per instanță de server).
• Secretele (cheile API, secretele aplicațiilor, cheile pentru e-mail și pentru plăți) sunt stocate ca variabile de mediu criptate ale platformei de găzduire și ca secrete GitHub Actions, niciodată în codul sursă.
• Accesul la mediul de producție (DigitalOcean, baze de date, jurnale) este limitat la persoanele nominalizate înscrise în registrul accesului la mediul de producție al Prestatorului, care consemnează și dacă autentificarea cu doi factori este activată pentru conturile care dau acces la sistemele de producție și la căsuțele de e-mail (DigitalOcean, GitHub, Stripe, Brevo, Proton — care găzduiește căsuțele [email protected] și [email protected] —, registratorul domeniului și, pentru aplicația Shopify, Shopify Partner/Dev Dashboard). Registrul este revizuit cel puțin o dată pe an și ori de câte ori o persoană se alătură echipei sau o părăsește.
• Bazele de date de producție acceptă conexiuni numai de la aplicațiile proprii ale Prestatorului; calculatoarele locale și sistemul CI nu se pot conecta.
• Zona internă de administrare a Prestatorului (liste de clienți, instalări, statistici de utilizare) funcționează numai în regim de citire, este accesibilă numai conturilor nominale ale personalului Prestatorului, cu autentificare cu doi factori și reautentificare recentă, nu afișează conținutul înregistrărilor consimțământului și nici date ale cumpărătorilor sau ale vizitatorilor, citește baza de date Shopify printr-un rol numai în citire, limitat la coloanele care nu privesc vizitatorii, și înregistrează fiecare acces (cine, când, ce) într-un jurnal de audit în care se pot doar adăuga înregistrări (append-only).
• Asistenții de programare bazați pe inteligență artificială și celelalte instrumente de dezvoltare lucrează cu codul sursă, cu sistemele de testare (staging) și cu date de test. Aceștia nu accesează niciodată bazele de date de producție, jurnalele de producție sau Datele cu caracter personal ale Clientului: nu citesc jurnalele de producție, nu execută interogări sau sarcini punctuale asupra bazelor de date de producție și nu copiază date de producție. Aceștia pot efectua modificări de infrastructură (specificațiile aplicațiilor, variabile de mediu, secrete scrise fără a fi citite). Dacă această regulă se modifică vreodată, furnizorul instrumentului (de exemplu, Anthropic PBC pentru Claude) este înscris în prealabil în Anexa III (secțiunea 6).
• Nu se introduc date cu caracter personal din producție în depozitul de cod sursă, în tichete (issues), în jurnalele CI, în datele de test (test fixtures) sau în capturi de ecran.
• Datele protejate ale clienților Shopify (protected customer data): măsurile declarate în Shopify Partner Dashboard sunt cele descrise în prezenta anexă; o copie a declarației se păstrează împreună cu evidențele privind DPA. Accesul prin zona de administrare este jurnalizat; alte accesări ale datelor cu caracter personal ale clienților de către personal (de exemplu, o sarcină executată asupra bazei de date în timpul unui incident) nu sunt încă jurnalizate individual (măsură planificată).

Separare

• Mediul de testare (staging) și mediul de producție rulează ca aplicații separate, cu baze de date separate; datele Shopify și datele site-urilor se află în baze de date separate.
• Serviciul pentru site-uri utilizează utilizatori dedicați ai bazei de date, fără drepturi de administrator (scanerul are propriul utilizator, limitat la tabelele de scanare). În prezent, Aplicația Shopify se conectează cu utilizatorul de administrator al clusterului de baze de date; este planificat un utilizator dedicat.
• Procesul de lucru (worker) al scanerului de cookie-uri este izolat de aplicațiile web (container separat, un mediu de browser fără date de autentificare pentru baza de date și fără secrete, trafic de ieșire limitat la adrese publice pe porturile 80/443, o limită de timp pentru fiecare scanare). Acesta deservește mai multe medii și deține datele de autentificare pentru bazele lor de date; pentru baza de date a Serviciului pentru site-uri utilizează rolul restricționat al scanerului.

Integritate

• În aplicație, înregistrările consimțământului pot fi doar adăugate (append-only), fără funcție de editare.
• Migrările bazei de date sunt versionate și aplicate automat înaintea fiecărei implementări (deployment).
• Modificările sunt dezvoltate pe ramuri (branches) și verificate în CI, la fiecare push, prin verificarea automată a tipurilor, analiza statică a codului (linting), teste și compilări (builds). Implementarea în producție se face numai din ramura de producție, iar integrarea (merge) în această ramură necesită aprobarea expresă a proprietarului; verificările CI trebuie să fie trecute cu succes înainte de implementarea în producție. Aceste reguli fac parte din politica de securitate și de gestionare a incidentelor a Prestatorului.

Disponibilitate și rezistență

• Găzduire administrată, cu verificări de funcționare (health checks) și reporniri automate; baze de date administrate, cu copii de rezervă zilnice automate și restaurare la un moment dat (point-in-time recovery), păstrate 7 zile.
• Implementările anterioare pot fi restabilite (rollback).

Stocare și ștergere

• Sarcini automate de ștergere conform Anexei I (la fiecare 6 ore: înregistrările consimțământului, statisticile, cererile privind datele cu caracter personal, cererile de retragere, scanările și, pentru site-uri, conturile a căror perioadă de ștergere s-a încheiat). Shopify: webhook-urile de conformitate obligatorii.

E-mail

• E-mailurile tranzacționale sunt trimise prin API-ul Brevo de pe domeniul consentl.com (SPF, DKIM, DMARC). Urmărirea deschiderilor și a clicurilor de către Brevo este anonimizată (nu se asociază destinatarului date privind interacțiunea), iar Prestatorul nu utilizează date privind interacțiunea.
• În producție, cheia API pentru e-mail este întotdeauna configurată; în lipsa acesteia (numai în mediul de dezvoltare), e-mailurile sunt scrise în jurnalul aplicației în loc să fie trimise. Este planificată o protecție în cod care să împiedice jurnalizarea conținutului mesajelor în producție.

Jurnalizare

• Jurnalele aplicației conțin date operaționale (domeniile magazinelor sau identificatorii site-urilor, rezultatele sarcinilor, mesaje de eroare) și nu conțin adrese IP ale vizitatorilor sau conținutul solicitărilor. Jurnalele de solicitări: Anexa I. Prestatorul nu stochează și nu transmite mai departe jurnale: jurnalele de execuție (runtime) există la DigitalOcean numai cât timp rulează aplicația și sunt șterse la implementarea unei noi versiuni; jurnalele de compilare și de implementare, care nu conțin date cu caracter personal ale vizitatorilor, sunt păstrate de DigitalOcean timp de 90 de zile. Datele solicitărilor din rețeaua edge: clauza 11.3.

Localizare

• Serverele aplicațiilor și bazele de date se află la Frankfurt, Germania (regiunea DigitalOcean fra/fra1).

Măsuri organizatorice

• Angajamentul de confidențialitate al fiecărei persoane cu acces (secțiunea 4); angajamente scrise de confidențialitate pentru orice membru al personalului sau colaborator extern.
• Gestionarea incidentelor urmează politica scrisă de securitate și de gestionare a incidentelor a Prestatorului: detectare, limitare, evaluare în termen de 24 de ore, notificarea Clientului conform secțiunii 8 (și, în calitate de operator, a autorității de supraveghere în termen de 72 de ore), restabilire și consemnarea fiecărei încălcări într-un registru al încălcărilor securității datelor. Un responsabil pentru incidente (și, după desemnare, un înlocuitor) este nominalizat în registrul accesului la mediul de producție.
• Evidențele activităților de prelucrare în calitate de persoană împuternicită de operator (art. 30 alin. (2) din GDPR) sunt ținute și revizuite cel puțin o dată pe an.
• Protecția datelor începând cu momentul conceperii: analiza aspectelor privind protecția datelor ale noilor funcții înainte de lansare.

Anexa III — Lista subcontractanților ulteriori

Subcontractanții ulteriori autorizați la data prezentului DPA. Detaliile, locațiile, garanțiile și istoricul modificărilor se găsesc în lista subcontractanților ulteriori.

Sursa: docs/legal/ro/DPA.md în depozitul Consentl.